nova različica pripomočka za sprejemanje in pošiljanje podatkov po omrežju - , ki omogoča prilagodljivo oblikovanje zahteve z določitvijo parametrov, kot so piškotek, uporabniški_agent, referer in katere koli druge glave. cURL podpira HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP in druge omrežne protokole. Istočasno je bila izdana posodobitev za knjižnico libcurl, ki se razvija vzporedno in zagotavlja API za uporabo vseh funkcij curl v programih v jezikih, kot so C, Perl, PHP, Python.
Nova izdaja dodaja možnost »--retry-all-errors« za ponovni poskus operacij, če pride do napak, in odpravlja dve ranljivosti:
- vam omogoča, da prepišete lokalno datoteko v sistemu, ko dostopate do strežnika, ki ga nadzoruje napadalec. Težava se pojavi le, če sta istočasno uporabljeni možnosti »-J« (»–ime-oddaljene-glave«) in »-i« (»—head«). Možnost "-J" omogoča shranjevanje datoteke z imenom, navedenim v glavi
"Vsebina-razporeditev". Če datoteka z istim imenom že obstaja, curl program običajno zavrne izvedbo prepisa, če pa je prisotna možnost »-i«, je logika preverjanja prekinjena in datoteka je prepisana (preverjanje se izvede na stopnji prejema telesa odgovora, vendar z možnostjo »-i« so najprej prikazane glave HTTP in imajo čas, da se shranijo, preden se telo odziva začne obdelovati). V datoteko so zapisane samo glave HTTP, vendar lahko strežnik namesto glav pošlje poljubne podatke in bodo zapisani. - lahko povzroči uhajanje nekaterih gesel za dostop do spletnega mesta (Basic, Digest, NTLM itd.) v strežnik DNS. Z uporabo simbola "@" v geslu, ki se uporablja tudi kot ločilo gesel v URL-ju, ko se sproži preusmeritev HTTP, curl pošlje del gesla za simbolom "@" skupaj z domeno za razrešitev ime. Če na primer vnesete geslo »passw@rd123« in uporabniško ime »dan«, bo curl ustvaril URL »https://dan:passw@[e-pošta zaščitena]/path" namesto "https://dan:passw%[e-pošta zaščitena]/path" in bo poslal zahtevo za razrešitev gostitelja "[e-pošta zaščitena]« namesto »example.com«.
Težava se pojavi, ko je omogočena podpora za relativne preusmerjevalnike HTTP (onemogočeno prek CURLOPT_FOLLOWLOCATION). Če se uporablja tradicionalni DNS, lahko informacije o delu gesla pridobita ponudnik DNS in napadalec, ki ima možnost prestrezanja tranzitnega omrežnega prometa (tudi če je bila prvotna zahteva prek HTTPS, saj promet DNS ni šifriran). Ko se uporablja DNS prek HTTPS (DoH), je uhajanje omejeno na operaterja DoH.
Vir: opennet.ru